Ein gestohlener Cloud-Zugang kann ausreichen, um auf Firmenkosten Sprachmodelle für fremde Kunden zu betreiben. Bei diesem als LLMjacking bezeichneten Missbrauch entsteht der Schaden unmittelbar durch Verbrauch: Angreifer nutzen die gebuchten Dienste, während die Gebühren beim kompromittierten Konto auflaufen. Für Unternehmen wird damit die Geschwindigkeit, mit der sie einen unbefugten Zugriff erkennen und beenden, zu einer finanziellen Größe.
Die Google Threat Intelligence Group und Mandiant berichten, 2026 mehrere solcher Vorfälle untersucht zu haben. Betroffen waren Organisationen aus Finanzdienstleistungen, Einzelhandel, Technologie und Transport in Nordamerika, Südamerika und dem asiatisch-pazifischen Raum. Nach ihren Angaben überschritten missbräuchlich verursachte Gebühren in einzelnen Fällen 100.000 US-Dollar an einem Tag. Bei einigen Organisationen summierten sich die Kosten auf eine Million US-Dollar, bevor der Zugriff entzogen wurde. (Google Cloud Blog: Google Threat Intelligence Group und Mandiant)
Der gestohlene Zugang wird zum Verkaufsangebot
Als wichtigste anfängliche Zugangswege nennt Google offengelegte oder gestohlene Identitäts- und Zugangsnachweise. Dazu zählen IAM-Zugangsdaten, Service-Account-Schlüssel, GitHub-Personal-Access-Tokens und aktive Sitzungstoken. Die praktische Schwachstelle liegt damit zunächst in der Verwaltung von Zugängen und Berechtigungen. Für die beschriebenen Angriffe ist keine Manipulation der Antworten eines Sprachmodells erforderlich.
Wie fremde KI-Nutzung beim Unternehmen Kosten erzeugt
Vereinfachter Ablauf des von Google beschriebenen Weiterverkaufs: Kunden eines Routing-Gateways nutzen Zugänge zu Sprachmodellen, die mit gestohlenen Zugangsdaten aufgerufen werden. Die Verbrauchskosten entstehen beim kompromittierten Konto.
Zur Vermarktung des unbefugten Zugangs beschreibt Google sogenannte LLM Mixer. Diese im Untergrund beworbenen Routing-Gateways bündeln Zugänge zu Sprachmodellen, leiten Anfragen weiter und verkaufen die Nutzung an Kunden solcher Angebote. Zwischen dem zahlenden Kunden eines solchen Angebots und dem belasteten Unternehmenskonto liegt somit ein Vermittlungsdienst. Der Angreifer kann Nutzung verkaufen, deren Cloud-Kosten bei einem Dritten entstehen.
Wie schnell dieser Verbrauch anwachsen kann, zeigt ein von Google beschriebener Fall rund um den Token-Routing-Dienst jet-night.com. Ein Akteur habe mit gestohlenen API-Schlüsseln Dritter mehr als 500.000 LLM-API-Aufrufe in weniger als acht Stunden ausgelöst. Einem Opfer seien dadurch fast eine Million US-Dollar an Tokenkosten entstanden. Diese Angaben stammen aus Googles Untersuchung; sie sind keine unabhängig bestätigte Abrechnung des betroffenen Unternehmens.
Die Reaktionszeit begrenzt den Verbrauch
Für den Betrieb folgt daraus eine konkrete Anforderung: Sicherheitsverantwortliche müssen ungewöhnliche KI-Nutzung schnell einem Zugang und einem verantwortlichen Team zuordnen können. Eine nachträgliche Prüfung der Monatsrechnung käme für die von Google beschriebenen Zeiträume zu spät. Wo innerhalb weniger Stunden erhebliche Gebühren entstehen können, gehört die Erkennung des Missbrauchs in den laufenden Betrieb.
Google empfiehlt, Geheimnisse zentral zu verwalten und zu rotieren, Berechtigungen nach dem Least-Privilege-Prinzip zu vergeben sowie Audit- und Inferenzprotokolle zu überwachen. Die Kontrollen sollen unter anderem unbefugte Aktivierungen von KI-Diensten und ungewöhnliche Nutzung sichtbar machen. Beide Punkte sind relevant: Ein Unternehmen muss erkennen können, ob ein Dienst überhaupt verwendet werden sollte und ob seine tatsächliche Verwendung zum vorgesehenen Zweck passt.
Organisatorisch legt das eine engere Abstimmung zwischen Cloud-Betrieb, Sicherheit und Kostenverantwortlichen nahe. Ein auffälliger Verbrauch ist zunächst ein Signal, noch kein Beweis für einen Angriff. Für seine Bewertung braucht es den Bezug zu berechtigten Anwendungen, zu verwendeten Identitäten und zu geplanten Änderungen. Fehlt diese Zuordnung, kann sich die Entscheidung über eine Sperrung verzögern.
Ebenso sollte vor einem Vorfall geklärt sein, wer einen verdächtigen Zugang entziehen darf. Eine Sperrung kann auch legitime Anwendungen unterbrechen. Weiterlaufenlassen kann zusätzliche Gebühren verursachen. Diese Abwägung lässt sich im Ernstfall besser treffen, wenn Abhängigkeiten und Zuständigkeiten bekannt sind. Das ist eine operative Konsequenz der dokumentierten Fälle, keine Aussage darüber, wie die betroffenen Organisationen intern aufgestellt waren.
Beobachtete Gebühren sind keine allgemeine Schadensprognose
LLMjacking ist bereits länger dokumentiert. Sysdig beschrieb 2024 einen Angriff mit gestohlenen Cloud-Zugangsdaten auf zehn cloudgehostete LLM-Dienste. Die Forscher sahen Hinweise auf einen Reverse Proxy für den Zugang zu kompromittierten Konten und schätzten mögliche Verbrauchskosten von mehr als 46.000 US-Dollar pro Tag. Diese Zahl war eine Schätzung möglicher Kosten, keine belegte Tagesrechnung. (Sysdig Threat Research Team)
Diese Unterscheidung ist auch bei der Einordnung der jüngeren Fälle wichtig. Googles Bericht nennt Gebühren aus untersuchten Vorfällen. Daraus lässt sich weder ein durchschnittlicher Schaden noch die Verbreitung des Angriffsmodells ableiten. Die betroffenen Organisationen werden in den geprüften Veröffentlichungen nicht genannt. Auch wie die aufgelaufenen Gebühren letztlich zwischen Kunden und Anbietern abgerechnet wurden, lässt sich aus den gelieferten Angaben nicht bestimmen.
KI-Verbrauch gehört in den Sicherheitsprozess
Der belastbare Befund ist enger, aber für den Betrieb ausreichend: Gestohlene Zugänge lassen sich für die Weitervermarktung von Sprachmodell-Nutzung einsetzen, und der dabei erzeugte Verbrauch kann in kurzer Zeit hohe Kosten verursachen. Unternehmen sollten deshalb Berechtigungen, Nutzungsprotokolle und Zuständigkeiten für ihre KI-Dienste zusammen betrachten.
Eine Kostenwarnung allein beendet keinen kompromittierten Zugriff. Umgekehrt erklärt ein Zugangsinventar noch nicht, welche Nutzung berechtigt ist. Entscheidend ist die Verbindung beider Informationen mit einem handlungsfähigen Sicherheitsprozess. Bei LLMjacking muss dieser Prozess den unbefugten Verbrauch stoppen können, bevor aus einer auffälligen Nutzung eine weitere hohe Abrechnung wird.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
